工業4.0及物聯網IoT興起，帶起了一股全球製造業轉型的風氣，原本獨立且封閉的OT環境因應智慧化開啟連網的需求，系統與系統透過網路相互連通及交換資訊，如何安全轉型在這波工控智慧化風潮扮演著至關重要的角色。本文保華將淺談IEC62443-工業自動化及控制系統網通安全標準，幫助讀者初步瞭解導入工控產業資安須注意的面向及範圍。
ISO27001 vs IEC62443
提及資安管理制度框架，第一個想到的便是ISO27001-資訊安全管理系統，透過PDCA(PLAN-DO-CHECK-ACT)持續性矯正循環，來協助企業間接式調整管理制度，一步步完善企業資安管理制度。
然而ISO27001並不完全切合於營運科技(OT)的環境，在顧及生產效率及生產成本之外，企業也該同時增強工控場域的資安管理制度。為了吻合工控產業所需，針對「工業通信網路-網路和系統的IT安全性」一系列的國際標準-IEC-62443因此而誕生，成為工控產業最具知名度的資安標準以利OT場域遵循。
IEC-62443標準的3種角色
IEC 62443為一個相當大的標準，從供應商到場域擁有者、從安全生產流程到資安管理規章。下到上只要有參與工控產品建置流程的接觸者，都有相對應的制度可供參考及合規。整體的管理框架可以理解成，資產擁有者擁有最高管理需求並有最多的要求項目，以下的系統整合商及產品供應者的管理條目，則需要依據資產擁有者的被要求項目去展延及配合。
IEC-62443標準的4類標準範疇
第一部分_ 62443-1_一般
- IEC62443-1-1為IEC62443的基準，其他條目都可以視為其展延項目，共可分為6大項基處要求(Fundamental Requirement)以下簡稱FR，其分別為FR1(身分及驗證)、FR2(使用限制)、FR3(系統整合)、FR4(資料保密)、FR5(限制的資料流)、FR6(事件應變)：
- FR1身分及驗證：主要針對使用者驗證及權限管控，其中使用者包括實體使用者, 軟體設備。
- FR2使用限制：則進一步針對使用者所擁有的權限操作進行細項管控。
- FR3系統整合：透過保護及防止未授權的修改及操作來確保工控系統的完善性。
- FR4資料保密：包含儲存於系統內或資料庫中的機敏資訊亦或是系統與系統之間的傳訊動態加密都是規範重點，由於工控系統相較於資訊系統之安全防範較為粗略，因此若資訊一旦外洩，造成的傷害將會一發不可收拾。
- FR5限制的資料流：承襲FR4(資料保密)的宗旨，此項目更偏向FR4的實作規範，具體提出系統的區域及區塊分割方法，不僅使資料的流向更加明確更加方便掌握，更能因此大幅度降低資料外洩的可能性。
- FR6事件應變：則偏向事後應變管理。當工控環境遭受不可控事件危害時，是否擁有有效的應變流程使應變同仁能在可承受回復時限內，使系統再次上線。
第二部分_ 62443-2_規章與制度
- 主要分為4個子項目，分別從不同面向去探討工控產業中的管理制度該如何建立並落實IEC62443之標準框架。其中資產擁有者之安全計畫要求(62443-2-1)觸及議題最廣也最為關鍵。其關鍵的原因在於標準制度唯有透過資產擁有者之規劃與明確立定管理目標，標準制度才得以被落實。
第三部分_ 62443-3_系統
- 主要分為3個項目。此部分的管理規章主要是針對工控產業中的系統整合商所制定。條文內容寫明系統整合商在提供解決方案給資產擁有者時須注意的風險評估項目及安全等級劃分。確保此些系統呼應及符合一般要求(62443-1)的系統安全合規性指標(62443-1-3)。
第四部份_ 62443-4_組件
- 主要分為2個項目。項目內容的適用對象包含所有工控系統零組件的製造商及代理商。相較於其他部分的要求項目更深入也更詳細。為確保工控系統的高可用性，零組件的安全產品開發絕對需要透過嚴密的條文內容及細膩的設計來加以維持。因此IEC-62443-4-1及IEC62443-4-2不僅標明要求事項，更提供實作方法供零組件廠商做參考。
結語
總結上述內容來看， IEC-62443添加許多實作細節更融入供應鏈角色概念，能幫助工控系統中的各個成員針對其在資安管理上的定位設計出相對應合適的制度及流程。
本文為投稿文章，不代表社方立場。